Exchange-Authentifizierungs-Bypass jetzt öffentlich exploitbar

Ein funktionsfähiger Exploit für einen Exchange-Authentifizierungs-Bypass ist seit wenigen Tagen öffentlich auf GitHub verfügbar, und laut heise.de sind noch rund 85 Prozent der On-Premises-Exchange-Server in Deutschland verwundbar — drei Wochen, nachdem Microsoft einen Fix veröffentlicht hat. Der Haken: Für Organisationen, die noch Exchange 2016 oder 2019 betreiben, liegt dieser Fix hinter Microsofts kostenpflichtigem Extended-Security-Update-Programm — Kunden von Exchange Server Subscription Edition erhalten denselben Fix ganz normal über den Standard-Update-Kanal, ohne zusätzlichen Vertrag.

Was ist passiert

Die technische Bezeichnung für diesen Exchange-Authentifizierungs-Bypass lautet CVE-2026-62911 — ein Authentication Bypass via Capture-Replay (CWE-294), bewertet mit CVSS 8.0. Entdeckt wurde die Schwachstelle von Orange Tsai (DEVCORE); laut dessen eigenem Pwn2Own-Berlin-2026-Bericht war sie eine von drei eigenständigen Schwachstellen in einer Kette, die zusammen 200.000 US-Dollar Preisgeld für eine vollständige, nicht authentifizierte SYSTEM-Übernahme eines Exchange-Servers einbrachten — die beiden anderen Kettenglieder sind eigene, separate Schwachstellen, die im selben Update geschlossen wurden. Die Lücke steckt im MailboxReplicationProxyService (MRSProxy), der Negotiate-Authentifizierung über einen HTTP.sys-Endpunkt verarbeitet; laut Analysen von Sicherheitsforschern zur Exploit-Kette reicht die dortige Prüfung nicht aus, sodass ein Angreifer, der das Authentifizierungsmaterial eines Machine-Accounts im Netzwerk abfängt, es erneut abspielen (Replay) kann — Exchange behandelt die Wiedergabe als vertrauenswürdig und erweitert die Rechte über ms-Exch-EPI-Token-Serialization. In Kombination mit den beiden anderen Schwachstellen platziert die vollständige Kette eine Webshell und gibt dem Angreifer die volle Kontrolle über den Server.

Microsoft hat alle vier zusammengehörigen Schwachstellen im Patchday vom 11. August 2026 geschlossen; betroffen sind Exchange Server 2016 CU23, Exchange Server 2019 CU14/CU15 sowie Exchange Server Subscription Edition RTM (x64). Die Komplikation betrifft konkret die beiden Versionen außerhalb des Supports: Exchange Server 2016 erreichte im Oktober 2025 das End of Life, weshalb der August-Fix für 2016 und 2019 nur an Kunden mit aktivem Period-2-ESU-Vertrag (Extended Security Updates) ausgeliefert wird. Exchange Server Subscription Edition unterliegt dieser Einschränkung nicht und erhält ihr Update (KB5121573) unabhängig vom Supportvertrag über den Standardkanal. Organisationen, die Exchange 2016 oder 2019 ohne aktiven ESU-Vertrag betreiben, haben für diese Versionen Stand heute schlicht kein Update zur Verfügung — weder kostenpflichtig noch kostenlos. Um den 29./30. August tauchte funktionsfähiger Exploit-Code für die CVE-2026-62911-Komponente öffentlich auf GitHub auf, und das österreichische CERT.at veröffentlichte eine eigene Warnung zu dieser Veröffentlichung. Microsoft stuft die Exploit-Reife weiterhin als „unproven“ ein, und eine aktive Ausnutzung ist bislang nicht bestätigt; Sicherheitsteams sollten dennoch davon ausgehen, dass öffentlicher Exploit-Code opportunistisches Scanning beschleunigt, auch ohne bestätigten aktiven Angriff.

Warum das wichtig ist

Die deutschen Zahlen machen daraus mehr als ein theoretisches Risiko: heise.de berichtet unter Berufung auf das CERT-Bund des BSI, dass rund 85 Prozent der On-Premises-Exchange-Server in Deutschland weiterhin verwundbar sind, und dass das BSI seit dem 14. August aktiv deutsche Netzbetreiber über verwundbare Systeme in deren eigener Infrastruktur benachrichtigt — eine gezielte Warnung, kein allgemeines Rundschreiben. Wie konkret die ESU-Lücke ist, zeigen die eigenen BSI-Zahlen: Der Behörde sind demnach in ganz Deutschland nur neun Exchange-2016/2019-Server bekannt, auf denen der ESU-Patch tatsächlich installiert ist. Für den deutschen Mittelstand, der aus Kosten- oder Compliance-Gründen weiterhin On-Prem-Exchange betreibt, wird aus einem routinemäßigen Patch-Zyklus-Thema damit eine Support-Vertrags-Prüfung: Die Sorgfaltspflichten nach NIS2 Artikel 21 pausieren nicht, nur weil ein Hersteller den Fix hinter eine kostenpflichtige Support-Stufe gelegt hat.

Was Sie jetzt tun sollten

1. Prüfen Sie, ob Ihre Organisation im Period-2-ESU-Programm für Exchange 2016/2019 eingeschrieben ist — das entscheidet, ob für diese Versionen überhaupt ein Patch verfügbar ist.
2. Falls ja: Installieren Sie umgehend KB5121574 (Exchange 2019 CU15), KB5121575 (Exchange 2019 CU14) oder KB5121576 (Exchange 2016 CU23). Betreiben Sie stattdessen Exchange Server Subscription Edition? Installieren Sie KB5121573 — keine ESU-Einschreibung nötig.
3. Falls kein ESU-Vertrag für 2016/2019 besteht: Beschränken Sie den Netzwerkzugriff auf MRSProxy- und EWS-Endpunkte sofort (nur über VPN, IP-Allowlisting gemäß BSI-Empfehlung), während Migration oder ESU-Beschaffung vorbereitet werden.
4. Überwachen Sie bis zum Patch auf ungewöhnliche Negotiate-Authentifizierungs-Replays und unerwartete Dateischreibvorgänge in IIS-Verzeichnissen auf Exchange-Servern als Interims-Erkennung.

DIESEC Einschätzung

Dies ist der zweite On-Premises-Exchange-Vorfall, den DIESEC innerhalb von drei Monaten verfolgt hat — nach dem OWA-Cross-Site-Scripting-Zero-Day aus unserem Beitrag vom 27. Mai. Das Muster wiederholt sich: Exchange bleibt eine der folgenreichsten On-Prem-Komponenten in DACH-Umgebungen, und jeder 2026er Vorfall hatte bislang entweder einen unvollständigen Patch, eine verzögerte Advisory oder — wie hier — einen Patch, den manche Kunden vertraglich gar nicht erhalten dürfen.

Nicht sicher, ob Ihre Exchange-Umgebung nach den aktuellen Microsoft-Supportbedingungen überhaupt noch Sicherheitsupdates erhält? Kontaktieren Sie DIESEC für eine schnelle Prüfung Ihres Exchange-Supportstatus und Ihrer Angriffsfläche.

Quellen: heise online | Microsoft MSRC
Veröffentlicht: 2026-09-01 | Kategorie: Tägliche News | ~4 Min. Lesezeit